VNITŘNÍ SMĚRNICE dosažení shody s GDPR. Preambule

Transkript

1 VNITŘNÍ SMĚRNICE dosažení shody s GDPR Preambule K dosažení shody s GDPR (Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů dále jen GDPR ), vydává : Tomáš Mužík, Průběžná 96, Tábor Čekanice, IČ: , muzik.t@ .cz jako správce osobních údajů, v souladu s příslušnými právními předpisy ČR, zejména zák. č. 89/2012 Sb., občanský zákoník, v platném znění, tuto Vnitřní směrnici dosažení shody s GDPR ve znění, jak dále je uvedeno. I. POJMY - Osobní údaj (OÚ) jakákoliv informace, která se dotýká konkrétní fyzické osoby (subjektu údajů), tj. identifikační a kontaktní údaje (např. jméno, příjmení, datum narození, adresa pobytu, rodné číslo, IČO/DIČ, telefonní číslo, ), informace z fotografií a kamerových záznamů, sociodemografické údaje (věk, pohlaví, rodinný stav, vzdělání, zaměstnání, příjmy a výdaje, počet dětí, evidence pracovní docházky zaměstnance apod.) nebo údaje o jeho chování, preferencích )soubory cookie a ú daje o poloze. - Zvláštní kategorie osobních údajů údaje, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání, členství v odborech, zdravotním stavu, genetické a biometrické údaje. Tuto kategorii osobních údajů správce nezpracovává. - Subjekt údajů každá fyzická osoba z ČR a nebo států EU, jejíž osobnostní údaje jsou zpracovávány. - Zpracování jakékoliv nakládání s osobními údaji, např. shromáždění, zaznamenání, zpřístupnění, uložení, uspořádání, vyhledání, pozměnění, použití, šíření atd. - Správce OÚ subjekt, který je povinný k dosažení shody s GDPR a který vydal tuto Vnitřní směrnici k dosažení shody s GDPR. - Právo vznést námitku subjekt údajů má právo kdykoli proti zpracování údajů vznést námitku a správce má v tomto případě povinnost dotčené osobní údaje dále nezpracovávat. - ÚOOÚ Úřad pro ochranu osobních údajů, kontrolní a dozorový úřad dle GDPR v ČR, se sídlem Ppl. Sochora 27, Praha 7, - Záznamy o činnostech zpracování správce osobních údajů je povinen vést záznamy v jednodušší přehledné formě o činnostech zpracování osobních údajů, za něž zodpovídá. V záznamech správce uvádí také případné námitky subjektu údajů, žádost subjektu údajů o výmaz údajů apod. - Analýza rizik posouzení zpracování osobních údajů s cílem zjistit, jaká rizika plynou ze zpracování pro práva a svobody fyzických osob, a na základě toho přijmout opatření, která tato rizika minimalizují. - Hlášení bezpečnostních incidentů správce má povinnost hlásit porušení zabezpečení, integrity a ztrátu osobních údajů ÚOOÚ bez zbytečného odkladu do 72 hodin od okamžiku, kdy se o nich dozvěděl, ledaže je nepravděpodobné, že by toto porušení mělo za následek riziko pro práva a svobody fyzických osob, nehlásí tedy bagatelní záležitosti, které nejsou rizikové. Hlášení se týká případů, kdy správce ztratí kontrolu nad daty, která spravuje, např. i ztráta nezabezpečeného mobilního telefonu s kontakty na klienty anebo notebooku se spisovým materiálem. Hlášení bezpečnostních incidentů se rovněž zaznamená do evidence činnosti zpracování správce. II. ZÁSADY ZPRACOVÁNÍ OSOBNÍCH ÚDAJU PODLE GDPR - Zásada zákonnosti, korektnosti a transparentnosti znamená, že osobní údaje musejí být ve vztahu k subjektu údajů zpracovávány vždy korektně, zákonným a transparentním způsobem. Správce zabrání neoprávněnému čtení, vytváření, kopírování, přenosu či úpravě či vymazání záznamů obsahujících osobní údaje. - Zásada účelového omezení znamená, že každé zpracování osobních údajů musí být v souladu se svým legálním účelem, souvisejícím s předmětem podnikání správce, tj. s účelem vyřizování objednávky kupujícího (objednatele) jako subjektu údajů, a to až po fakturaci předmětu plnění. Souhlas subjektu údajů se pro tento účel zpracování údajů nevyžaduje. Souhlas subjektu údajů se nevyžaduje také pro zpracování osobních údajů zaměstnanců pro pracovněprávní účely (pro plnění pracovní smlouvy či plnění zákonem

2 stanovených povinností ze strany zaměstnavatele). Souhlas subjektu údajů je nutný pouze v případech, kdy správce a zpracovatel využije údaje subjektu údajů např. pro marketingové účely (remarketing, cílení reklamy na Facebooku apod.), či předávání údajů třetím stranám takový souhlas však může subjekt údajů kdykoli odvolat. Při procházení webových stránek zaznamenává správce IP adresu subjektu údajů, jak dlouho se na stránce zdrží a z jaké stránky subjekt údajů přichází. Správce nikdy nesdílí osobní údaje subjektu údajů s nezávislými třetími stranami bez jejich výslovného souhlasu pro účely poskytování cílené internetové reklamy nebo souhrnných reportů. V případě, že Tomáš Mužík jako Správce vystupuje ve vztahu k Správci, který užívá jeho produkt, jako Zpracovatel osobních údajů subjektů údajů a příslušný Správce mu nepředloží návrh Smlouvy o zpracování osobních údajů, předloží Tomáš Mužík takovému Správci na internetovou IP adresu návrh Smlouvy o zpracování osobních údajů, která tvoří přílohu této Vnitřní směrnice s tím, že smluvní strany takovou smlouvu uzavřou elektronickou cestou podle jejího čl. IV. Závěrečná ustanovení. Přílohou Smlouvy bude i tato Vnitřní směrnice dosažení shody s GDPR. Používání cookies klienty Socialsprinters nebo stránkami s nimi spojenými se nevztahuje k zásadám ochrany osobních údajů podle této Vnitřní směrnice Správce. Nastavení prohlížeče může klient v počítači kdykoliv změnit a cookies zakázat. Správce používá externí sledovací nástroj nazvaný Google Analytics, který využívá soubory cookies ke sledování neosobně identifikovatelných informací o návštěvnících naší stránky za účelem sběru údajů o používání této webové stránky, např. jak často uživatelé tuto webovou stránku navštěvují, jaké stránky a kdy navštěvují a jaké jiné stránky použili před navštívením této stránky. Mezi tyto informace patří IP adresa, typ prohlížeče, poskytovatel internetových služeb (ISP), odchozí stránky, operační systém, datové/časové razítko a údaje o navštívených stránkách. Informace, které shromažďujeme z nástroje Google Analytics, používáme výhradně pro účely zdokonalování naší webové stránky, na analýzu trendů, na správu webové stránky, na sledování pohybu uživatelů na naší stránce a na shromažďování demografických údajů o naší uživatelské základně jako celku. Informace shromážděné prostřednictvím využívání služby Google Analytics nespojuje správce s žádnými osobně identifikovatelnými informacemi. - ing (před a) po zahájení GDPR U dříve poskytnutých údajů každou jednotlivou osobou, které má správce v databázi pro marketingové účely zajistí správce od uživatelů předmětných ových adres poskytnutý souhlas, který bude v souladu s požadavky GDPR. Ke každé ové databázi tak správce přiřadí adekvátní právní titul k jeho zpracování, přičemž se za samotné zpracování považuje již uložení u do takové databáze. Získávání svobodných souhlasů se netýká pouze online prostředí, ale i offline. Pokud tak klient vyplní písemný formulář, musí znovu proběhnout jeho ověření a potvrzení zadané ové adresy zasláním zprávy s potvrzovacím odkazem, aby byl jasně prokazatelný souhlas vlastníka adresy, respektive pro mobilní telefonní čísla potvrzovací SMS. Správce je povinen na základě shromažďování kontaktů na základě souhlasu osob a nebo oprávněného zájmu správce, vždy splnit informační povinnost o nakládání s osobními údaji, tj. příslušnou osobu informovat :. jaké osobní údaje budou zpracovávány,. za jakým účelem budou osobní údaje zpracovávány (posílání novinek, akčních nabídek, soutěže, zařazení do remarketingového publika aj.),. kdo osobní údaje zpracovává (správce či jiná osoba jako zpracovatel),. na jakou dobu budou osobní údaje zpracovávány (před jejím uplynutím lze požádat o prodloužení doby za pomocí automatické kampaně),. jaká jsou práva osoby, jejíž údaje jsou zpracovávány (práva na informace, na výmaz, na opravu, na přístup, právo vznést námitku, přenositelnost),. proč může správce osobní údaje zpracovávat v případě, že nepotřebuje souhlas (oprávněný zájem, plnění smlouvy). Správce využívá k zajištění svobodného souhlasu občana systém double opt-in, tj. potvrzovací zaslaný do příslušné schránky potvrdí nejen souhlas příslušné osoby, ale i to, že souhlas byl udělen skutečně oprávněnou osobou. Ukázka informačního u : Logo správce: DĚKUJEME, že jste naším klientem a proto vás budeme informovat o. a můžete se těšit na výhody, které od nás získávají jen naši klienti. INFORMACE, které jste nám poskytli : .., event. uvést další poskytnuté osobní údaje Jméno a příjmení :.

3 Datum přihlášení :. IP adresa :.. Váš kontakt budeme uchovávat po dobu tří (3) let. Nezapomeňte, že z odběru se můžete kdykoli odhlásit, stačí, když kliknete na odkaz v patičce tohoto u. Děkujeme - Souhlas se zpracováním osobních údajů zajišťuje Správce nastavením u double opt-in, což je potvrzení, že Správce získal souhlas od osoby, jejíž byl zadán do formuláře. - Odvolání souhlasu se zpracováním osobních údajů zajišťuje Správce formou opt-out ovou formou. - Zásada minimalizace údajů znamená, že správce zpracovává osobní údaje pouze v minimálním rozsahu, které jsou nezbytné a potřebné pro splnění účelu zpracování. - Zásada přesnosti znamená zpracovávat pouze přesná, správná a aktuální data klientů v databázi. Za tím účelem správce zajišťuje průběžnou aktualizace dat nejméně 1x ročně. - Zásada omezeného uložení znamená, že osobní údaje klientů budou uchovávány jen po dobu nezbytně nutnou k naplnění účelu zpracování a nejpozději po zákonnou dobu archivace dokumentace. - Právo subjektu údajů na výmaz údajů znamená povinnost správce a zpracovatele zlikvidovat osobní údaje subjektu údajů, pokud je splněna alespoň jedna podmínka : neexistuje právní důvod pro zpracování, neexistují žádná převažující oprávněné důvody pro zpracování, osobní údaje byly zpracovány protiprávně, osobní údaje musí být vymazány ke splnění právní povinnosti, osobní údaje byly shromážděny v souvislosti s nabídkou služeb informační společnosti podle článku 8 odst. 1 obecného nařízení. - Zpracovávání osobních údajů zveřejněných ve veřejném rejstříku, např. živnostenském rejstříku, obchodním rejstříku a katastru nemovitostí může správce a zpracovatel přebírat a zpracovávat pouze pro účel jednotlivých případů souvisejících s klienty správce a zpracovatele údajů. - Pověřenec pro ochranu osobních údajů vzhledem k předmětu činnosti správce a rozsahu zpracování osobních údajů nemá správce povinnost jmenovat pověřence pro ochranu osobních údajů. - Zabezpečení osobních údajů : a) obsažených v písemných dokladech (objednávky, smlouvy, faktury, pracovní smlouvy zaměstnanců apod.) je zajištěno v uzamykatelné skříni. b) v elektronické podobě je zajištěno na počítači správce, který pracuje v režimu bezpečného zpracování, data jsou v průběhu přenosu šifrována SSL, což znamená, že během přenosu jsou chráněny před hackováním a rozpoznáváním. Počítač správce je nejméně 1x ročně z hlediska bezpečného uložení údajů ověřován. III. KATEGORIE A CHARAKTERISTIKY ZPRACOVÁNÍ OSOBNÍCH ÚDAJU 1. Jméno, příjmení a kontaktní údaje správce (článek 30 odst. 1 písm. a) GDPR) - Tomáš Mužík, muzik.t@ .cz, tel Identifikace příslušných zpracování osobních údajů (článek 30 odst. 1 písm. b) GDPR) : Vedení údajů na základě smluvních vztahů s obchodními partnery a klienty a evidence údajů zaměstnanců (pracovní smlouvy, výkazy práce, mzdové listy apod.). Odesláním objednávky z internetového objednávkového formuláře na dodávku zboží a služeb potvrzuje subjekt údajů, že je srozuměn s podmínkami ochrany osobních údajů a vyjadřuje svůj souhlas s jejich zpracováním a ochranou, jakož i s rozsahem využití dle této Vnitřní směrnice. 3. Za jakým účelem a na základě jakého právního titulu se osobní údaje zpracovávají (článek 30 odst. 1 písm. b) GDPR) : Plnění povinností a uplatňování práv v rámci předsmluvního a smluvního vztahu s obchodními partnery (klienty) a u zaměstnanců plnění povinností na základě pracovní smlouvy, DPP, DPČ a plnění povinností vyplývajících ze Zákoníku práce a Zákona o zaměstnanosti. 4. Jaké osobní údaje jsou zpracovávány v rámci zpracovávání (článek 30 odst. 1 písm. c) GDPR) : U smluvních subjektů (klientů) jsou zpracovávány údaje uvedené v části I. POJMY (osobní údaj) a u zaměstnanců údaje jméno a příjmení, datum narození, adresa bydliště, bankovní účet, platový či mzdový výměr, pracovní doba, rodinný stav, vzdělání, evidence docházky zaměstnance do zaměstnání. Pracovní smlouvy zaměstnanců s osobními údaji, uzavřené před platností této Vnitřní směrnice se nemění z důvodu, že souhlas se zpracováním takových údajů dal zaměstnanec již podpisem dřívější pracovní smlouvy a v takovém rozsahu je správce povinen sdělené osobní údaje podle této Vnitřní směrnice chránit. Zaměstnanec

4 poskytuje zaměstnavateli takové osobní údaje, které podle příslušných právních předpisů potřebuje k plnění právních povinností. V případech, kdy zaměstnavatel zpracovává osobní údaje zaměstnance na základě plnění právních povinností, nevyžaduje se souhlas zaměstnance a není povinnost zaměstnavatele vymazat na základě námitky či žádosti zaměstnance osobní údaje o zaměstnanci (čl. 17 GDPR). Při zpracovávání a ochraně osobních údajů fyzických osob pro marketingové účely postupuje správce podle Čl. II. - ing. 5. Z jakých zdrojů jsou osobní údaje získávány (článek 30 odst. 1 písm. c) GDPR) : Ze sdělení od smluvních partnerů a fyzických osob, z veřejně přístupných rejstříků a od zaměstnanců správce. Je-li smluvní vztah s osobnostními údaji uzavírán telefonicky, musí správce tento smluvní vztah prokazatelným způsobem zaznamenat tak, aby byl doložitelný. 6. Kategorie příjemců, kterým byly nebo budou osobní údaje zpřístupněny : Účetní, pokud bude zajišťovat činnost pro správce a IT firmě v případě, že bude udržovat počítačový systém správce. 7. V jakém termínu a jak se osobní údaje likvidují (článek 30 odst. 1 písm. f) GDPR) : V souladu s touto Vnitřní směrnicí, jakož i v rozsahu a v zákonných termínech archivního a skartačního řádu. 8. Jakým způsobem se osobní údaje aktualizují (článek 30 odst. 1 písm. g) GDPR) : Informacemi od subjektů údajů, od třetích stran, případně pomocí veřejných zdrojů (internet, veřejné rejstříky). 9. Je prostředí správce pravidelně bezpečnostně testováno (zejména IT systémy) interně nebo externě : Interně 1x ročně. 10. Jak je zajištěna bezpečnost šifrování dat při klientské komunikaci (článek 30 odst. 1 písm. g) GDPR) : Přenos informací podléhá zaheslování. 11. Jak je zajištěna bezpečnost sdílení dat s externími subjekty? Mají všichni externí dodavatelé, zpracovávající osobní údaje, uzavřené smlouvy o zpracování osobních údajů, poskytující odpovídající záruky ochrany (článek 30 odst. 1 písm. g) ve spojení s článkem 28 GDPR) : Bude-li správce předávat osobní údaje fyzických osob ke zpracování smluvně sjednané účetní a nebo do počítačového systému umožní za účelem jeho udržování vstup IT firmě, uzavře s takovými subjekty Smlouvu o zpracování osobních údajů. 12. Zajištění nevratné likvidace dat v rámci databázového systému (článek 30 odst. 1 písm. g) GDPR) : Data jsou vždy likvidována, nejen deaktivována. 13. Je k dispozici procedura k určení práv subjektů údajů a jejich výkon s ohledem na jejich data, která jsou zpracovávána v rámci zpracování údajů? Každému subjektu údajů umožňuje správce podat žádost na svých stránkách žádosti vyřizuje správce ve lhůtách do 30 dnů od podání žádosti. 14. Poskytují se oprávněným subjektům údajů předepsané informace, zejména o rozsahu a účelu zpracování, způsobu zpracování osobních dat, komu mohou být osobní údaje zpřístupněny? Informace poskytuje správce na svém webu podle této Vnitřní směrnice a správce rovněž odpovídá na žádosti subjektů údajů. 15. Zabraňují nasazené technické prostředky a uplatňovaná organizační opatření nahodilému anebo neoprávněnému přístupu k osobním údajům, jejich změně, zcizení, zneužití, zničení nebo ztrátě (článek 30 odst. 1 písm. g) GDPR) : - K zpracovávaným údajům má přístup pouze osoba, která s nimi pracuje. - Údaje jsou zaheslované v počítači, údaje v listinné podobě se nacházejí v uzamykatelných skříních. - Přístup do kanceláře s počítačem a skříní, ve kterých se údaje shromažďují je zajištěn zámkem ve dveřích. - IT systém je pravidelně testován a udržován správcem (externím dodavatelem s kterým je uzavřena smlouva o zpracování osobních údajů).

5 16. Jsou pracovníci, mající přístup k osobním údajům v rámci zpracování osobních údajů, proškoleni? Mají tito pracovníci ve svých pracovních smlouvách sjednánu povinnost mlčenlivosti ve vztahu ke zpracovávaným osobním údajům (článek 30 odst. 1 písm. g) GDPR)? : V době vydání této Vnitřní směrnice nemá správce žádné zaměstnance. Bude-li mít správce zaměstnance, jejich proškolení bude probíhat jednak při nástupu do zaměstnání a dále jednou za 18 měsíců s tím, že zaměstnanci mají v pracovních smlouvách závazek mlčenlivosti ve vztahu ke zpracovávaným osobním údajům, a to i po skončení zaměstnání nebo příslušných prací vykonávaných pro správce. Tato Vnitřní směrnice je přístupná všem zaměstnancům správce. Správce odpovídá za dodržování plnění této Vnitřní směrnice a musí být schopen toto dodržení souladu doložit. Tato Vnitřní směrnice je vždy k 1. červnu příslušného kalendářního měsíce, poprvé k , jinak kdykoliv podle potřeby kontrolována, vyhodnocována a aktualizována. Tato Vnitřní směrnice dosažení shody s GDPR je platná a účinná dnem 25. května Vztahy touto Vnitřní směrnicí výslovně neupravenými se řídí příslušnými ustanoveními GDPR a právním řádem ČR, zejména zák. č. 89/2012 Sb., občanský zákoník, v platném znění.